Kerberose ja OpenLDAP seadistamine - Revision history

Krats: /* Versioonide ajalugu */ Versioon 0.4

2010-01-31T17:56:26Z

Versioonide ajalugu: Versioon 0.4

← Older revision		Revision as of 20:56, 31 January 2010
Line 6:		Line 6:
	; 0.2 - 26.01.2010 : Ikka veel poolik tööversioon, kuid paigaldamine, seadistamine, varundamine ja taastamine on jõudnud ''hakkab looma'' olekusse; täiesti puudu on testimine.		; 0.2 - 26.01.2010 : Ikka veel poolik tööversioon, kuid paigaldamine, seadistamine, varundamine ja taastamine on jõudnud ''hakkab looma'' olekusse; täiesti puudu on testimine.
	; 0.3 - 30.01.2010 : Parandatud ja natuke täiendatud vastavalt diskussiooni lehel toodud soovitustele, kuid ikka veel poolik.		; 0.3 - 30.01.2010 : Parandatud ja natuke täiendatud vastavalt diskussiooni lehel toodud soovitustele, kuid ikka veel poolik.
			; 0.4 - 31.01.2010 : Eelkõige on parandatud eelmisesse versiooni alles jäänud vead. Lisatud on mõningate käskude väljundid.

	== Autor ==		== Autor ==

Krats: /* LDAP teenuse käivitamine */ Keele koristamine

2010-01-31T17:36:44Z

LDAP teenuse käivitamine: Keele koristamine

← Older revision		Revision as of 20:36, 31 January 2010
Line 531:		Line 531:
	==== LDAP teenuse käivitamine ====		==== LDAP teenuse käivitamine ====

	Nüüd saab lõpuks ~~käivita~~ OpenLDAP deemoni slapd:		Nüüd saab lõpuks käivitada OpenLDAP deemoni slapd:

	/etc/init.d/slapd start		/etc/init.d/slapd start

Krats: /* Põhiprogrammid: Heimdal ja OpenLDAP */ Vorminduse ühtlustamine

2010-01-31T17:33:49Z

Põhiprogrammid: Heimdal ja OpenLDAP: Vorminduse ühtlustamine

← Older revision		Revision as of 20:33, 31 January 2010
Line 81:		Line 81:
	=== Põhiprogrammid: Heimdal ja OpenLDAP ===		=== Põhiprogrammid: Heimdal ja OpenLDAP ===

	Paigalda paketid slapd, heimdal-kcm ja heimdal-kdc:		Paigalda paketid '''slapd''', '''heimdal-kcm''' ja '''heimdal-kdc''':

	apt-get install slapd heimdal-kcm heimdal-kdc		apt-get install slapd heimdal-kcm heimdal-kdc

	Lisaks hulgale pakettidele lisatakse süsteemi veel kasutaja ja grupp ''openldap'', mille õigustes hakkab töötama OpenLDAP deemon ''slapd''.		Lisaks hulgale pakettidele lisatakse süsteemi veel kasutaja ja grupp ''openldap'',
			mille õigustes hakkab töötama OpenLDAP deemon ''slapd''.

	Paketi slapd eelkonfigureerimisel küsitakse LDAP kataloogi administraatori parooli, mis tuleks meelde jätta.		Paketi '''slapd''' eelkonfigureerimisel küsitakse LDAP kataloogi administraatori
			parooli, mis tuleks meelde jätta.

	Paketi krb5-config seadistamisel tuletatakse arvuti domeenist automaatselt ~~Kerberose~~ vaikimis ~~realmi~~ nimi		Paketi '''krb5-config''' seadistamisel tuletatakse arvuti domeenist automaatselt
	(~~antud juhendis~~ LOCALNET.EE), millele küsitakse võtmete ja paroolivahetuse serverite nimesid.		kerberose vaikimis haldusüksuse nimi (''LOCALNET.EE''), millele küsitakse võtmete
	Mõlemal juhul on serveriks ''demo.localnet.ee''.		ja paroolivahetuse serverite nimesid. Mõlemal juhul on serveriks ''demo.localnet.ee''.

	=== Heimdali ja OpenLDAP põimimisvahendid: sasl2-bin ja libsasl2-modules-gssapi-heimdal ===		=== Heimdali ja OpenLDAP põimimisvahendid: sasl2-bin ja libsasl2-modules-gssapi-heimdal ===

Krats: /* Sissejuhatus */ Toogem versioonid siis esile!

2010-01-31T17:30:00Z

Sissejuhatus: Toogem versioonid siis esile!

← Older revision		Revision as of 20:30, 31 January 2010
Line 13:		Line 13:
	== Sissejuhatus ==		== Sissejuhatus ==

	Käesolevas juhendi eesmärk on luua Kerberose ja LDAP vahenditega suhteliselt universaalne baas kasutajate autentimiseks erinevate serverite ja teenuste poolt. Juhend on loodud Debian GNU/~~Linux versioonile 5.0.3~~ ja kasutab temaga kaasas olevaid Heimdali ja OpenLDAP pakette. ~~(Seega võiks antud juhendi pealkiri olla ka Heimdali ja OpenLDAP seadistamine.)~~		Käesolevas juhendi eesmärk on luua Kerberose ja LDAP vahenditega suhteliselt universaalne baas kasutajate autentimiseks erinevate serverite ja teenuste poolt. Juhend on loodud Debian GNU/Linuxi baasil ja kasutab temaga kaasas olevaid Heimdali ja OpenLDAP pakette.

	Kuigi juhend on püütud kirjutada nii, et sellest peaks sobima ka täiesti algajale, tasub lugejal enne siiski veenduda, et		Kuigi juhend on püütud kirjutada nii, et sellest peaks sobima ka täiesti algajale, tasub lugejal enne siiski veenduda, et
	ta on suuteline seadistama [[OpenLDAP-i seadistamine]] teenuse. Samuti eeldatakse Kerberose ja X.509 sertifikaatide loomise põhitõdede tundmist.		ta on suuteline seadistama [[OpenLDAP-i seadistamine]] teenuse. Samuti eeldatakse Kerberose ja X.509 sertifikaatide loomise põhitõdede tundmist.

	Alljärgnevas eeldatakse, et kõik käsud käivitatakse juurkasutaja (root) õigustes, kui seda ei öelda ilmutatult teisiti.		Alljärgnevas eeldatakse, et kõik käsud käivitatakse juurkasutaja (''root'') õigustes, kui seda ei öelda ilmutatult teisiti.

			=== Paigaldatav ja seadistatav tarkvara ===

			{\| class="wikitable"
			\| '''''Programm'''''
			\| '''''Versioon'''''
			\|-
			\| Debian
			\| 5.0.3
			\|-
			\| Heimdal
			\| 1.2.dfsg.1-2.1
			\|-
			\| OpenLDAP
			\| 2.4.11-1+lenny1
			\|-
			\| Cyrus SASL2 teek
			\| 2.1.22.dfsg1-23+lenny1
			\|}

	=== Nõuded ===		=== Nõuded ===
Line 48:		Line 67:

	FIXME: lisa pilt ja seletus kerberose põhikäitumisest		FIXME: lisa pilt ja seletus kerberose põhikäitumisest


	'''Kasutajate nimetamine kerberose andmebaasis'''		'''Kasutajate nimetamine kerberose andmebaasis'''

Krats: /* Kerberose lühitutvustus */ Kuidas kerberose ''principal'' kirjeldatakse

2010-01-31T17:03:05Z

Kerberose lühitutvustus: Kuidas kerberose ''principal'' kirjeldatakse

← Older revision		Revision as of 20:03, 31 January 2010
Line 48:		Line 48:

	FIXME: lisa pilt ja seletus kerberose põhikäitumisest		FIXME: lisa pilt ja seletus kerberose põhikäitumisest

			'''Kasutajate nimetamine kerberose andmebaasis'''

			Kerberose andmebaasis defineeritud kasutajate nimed on kujul prefiks@haldusüksus. Prefiks koosneb põhinimest ja täpsustavast instantsist; neid eraldab kaldkriips (/).

			Eelnevalt on kokku lepitud, et kõigi haldusüksuses olevate masinate-seadmete põhinimi on '''host''' ja instants '''masina täispikk nimi'''. Näiteks serverile demo.localnet.ee vastav kerberose kasutajanimi on ''host/demo.localnet.ee@LOCALNET.EE''.

			Analoogne kokkulepe kehtib ka teenuste osas. Siin on põhinimeks teenuse nimi ja instants '''masina täispikk nimi'''. Näiteks LDAP teenusele vastav kerberose kasutajanimi serveris demo.localnet.ee on ''ldap/demo.localnet.ee@LOCALNET.EE''.

	== Paigaldamine ==		== Paigaldamine ==

Krats: /* /etc/heimdal-kdc/kadmind.acl */ Keele koristamine

2010-01-31T16:23:10Z

/etc/heimdal-kdc/kadmind.acl: Keele koristamine

← Older revision		Revision as of 19:23, 31 January 2010
Line 655:		Line 655:
	/admin@LOCALNET.EE		/admin@LOCALNET.EE

	See lubab kõigil ~~administratiivsetel tegelinskitel~~ kõike majandada.		See lubab kõigil kerberose andmebaasis defineeritud kasutajatel, kellel haldusüksuses ''LOCALNET.EE'' on instantsiks defineeritud ''admin'', kõike majandada.

			Tulevikus tuleb seda faili üsna kindlasti täiendada.

	==== Andmebaasi uuesti initsialiseerimine ====		==== Andmebaasi uuesti initsialiseerimine ====

Krats: /* /etc/heimdal-kdc/kdc.conf */

2010-01-31T15:06:28Z

/etc/heimdal-kdc/kdc.conf

← Older revision		Revision as of 18:06, 31 January 2010
Line 645:		Line 645:
	* millisesse faili salvestada kerberose andmebaasi võti (vajalik siis, kui ei taha seda salvestada LDAP kataloogi).		* millisesse faili salvestada kerberose andmebaasi võti (vajalik siis, kui ei taha seda salvestada LDAP kataloogi).

	FIXME: kirjuta, ~~kuhu~~ miks pannakse Samba kasutamisel andmebaas ou=Users,dc=localnet,dc=ee harusse ja mis probleemid sellega kaasnevad.		FIXME: kirjuta, miks pannakse Samba kasutamisel andmebaas ou=Users,dc=localnet,dc=ee harusse ja mis probleemid sellega kaasnevad.

	==== /etc/heimdal-kdc/kadmind.acl ====		==== /etc/heimdal-kdc/kadmind.acl ====

Krats: /* /etc/heimdal-kdc/kdc.conf */ Natuke kommentaare iseendale

2010-01-31T15:06:04Z

/etc/heimdal-kdc/kdc.conf: Natuke kommentaare iseendale

← Older revision		Revision as of 18:06, 31 January 2010
Line 631:		Line 631:

	Lisa järgmised read väljakommenteeritud rea alla (nagu näed muutus antud direktiivi asukoht).		Lisa järgmised read väljakommenteeritud rea alla (nagu näed muutus antud direktiivi asukoht).

	database = {		database = {
	dbname = ldap:ou=KerberosPrincipals,dc=localnet,dc=ee		dbname = ldap:ou=KerberosPrincipals,dc=localnet,dc=ee
Line 637:		Line 638:
	mkey_file = /var/lib/heimdal-kdc/mkey		mkey_file = /var/lib/heimdal-kdc/mkey
	}		}

	Siin on kirjas järgmine:		Siin on kirjas järgmine:
	* andmebaas on LDAP kataloogi harus ou=KerberosPrincipals,dc=localnet,dc=ee,		* andmebaas on LDAP kataloogi harus ou=KerberosPrincipals,dc=localnet,dc=ee,
Line 642:		Line 644:
	* milline objektiklass võtta uue kasutaja loomisel baasiks (vajalik ainult siis, kui on plaan kasutada Sambat), ja		* milline objektiklass võtta uue kasutaja loomisel baasiks (vajalik ainult siis, kui on plaan kasutada Sambat), ja
	* millisesse faili salvestada kerberose andmebaasi võti (vajalik siis, kui ei taha seda salvestada LDAP kataloogi).		* millisesse faili salvestada kerberose andmebaasi võti (vajalik siis, kui ei taha seda salvestada LDAP kataloogi).

			FIXME: kirjuta, kuhu miks pannakse Samba kasutamisel andmebaas ou=Users,dc=localnet,dc=ee harusse ja mis probleemid sellega kaasnevad.

	==== /etc/heimdal-kdc/kadmind.acl ====		==== /etc/heimdal-kdc/kadmind.acl ====

Krats: /* LDAP klienditeegi seadistus */ Parandame esiletõestmist

2010-01-31T14:54:49Z

LDAP klienditeegi seadistus: Parandame esiletõestmist

← Older revision		Revision as of 17:54, 31 January 2010
Line 600:		Line 600:
	==== LDAP klienditeegi seadistus ====		==== LDAP klienditeegi seadistus ====

	Ava tekstiredaktoris fail /etc/ldap/ldap.conf ja lisa järgmised read:		Ava tekstiredaktoris fail '''/etc/ldap/ldap.conf''' ja lisa järgmised read:

	BASE dc=localnet,dc=ee		BASE dc=localnet,dc=ee
Line 607:		Line 607:
	#TLS_REQCERT allow		#TLS_REQCERT allow

	BASE defineerib vaikimis kasutatava kataloogi juure. <br />		'''BASE''' defineerib vaikimis kasutatava kataloogi juure. <br />
	URI määrab vaikimisi serveri ja ühendusprotokolli. <br />		'''URI''' määrab vaikimisi serveri ja ühendusprotokolli. <br />
	TLS_CACERT võimaldab kirjeldada kasutatava juursertifikaadi.		'''TLS_CACERT''' võimaldab kirjeldada kasutatava juursertifikaadi.

	Hetkel on kommenteeritud TLS_REQCERT, mis võimaldab määrata, kui põhjalikult on vaja kontrollida serveri sertifikaati.		Hetkel on kommenteeritud '''TLS_REQCERT''', mis võimaldab määrata, kui põhjalikult on vaja kontrollida serveri sertifikaati.

	----		----

Krats: /* LDAP klienditeegi seadistus */ Lauslollus likvideeritud

2010-01-31T14:53:32Z

LDAP klienditeegi seadistus: Lauslollus likvideeritud

← Older revision		Revision as of 17:53, 31 January 2010
Line 602:		Line 602:
	Ava tekstiredaktoris fail /etc/ldap/ldap.conf ja lisa järgmised read:		Ava tekstiredaktoris fail /etc/ldap/ldap.conf ja lisa järgmised read:

	TLS_CACERT /etc/ssl/local/cacert.pem		BASE dc=localnet,dc=ee
	~~TLS_verify?~~ allow		URI ldap://demo.localnet.ee
			TLS_CACERT /etc/ssl/local/cacert.pem
			#TLS_REQCERT allow

			BASE defineerib vaikimis kasutatava kataloogi juure. <br />
			URI määrab vaikimisi serveri ja ühendusprotokolli. <br />
			TLS_CACERT võimaldab kirjeldada kasutatava juursertifikaadi.

	~~BASE dC=localnet~~,~~dc=ee~~		Hetkel on kommenteeritud TLS_REQCERT, mis võimaldab määrata, kui põhjalikult on vaja kontrollida serveri sertifikaati.


	----		----